Gehacktes Anzeigenkonto: Angreifer verbreiten Malware via Bing Chat
Cyberkriminelle verbreiten offenbar zunehmend Malware über Werbeanzeigen in den Antworten des seit Anfang des Jahres in Microsofts Suchmaschine Bing integrierten KI-Chatbots. Wie Bleeping Computer(öffnet im neuen Fenster) unter Verweis auf einen Bericht von Malwarebytes(öffnet im neuen Fenster) erklärte, tauchten dort zuletzt Links zu gefälschten Downloadseiten auf.
Mit der Einblendung von Anzeigen im Bing Chat hat Microsoft erst im März dieses Jahres begonnen , um Einnahmen aus seiner GPT-4-basierten generativen KI-Plattform zu beziehen.
Dadurch bietet der Konzern aber nicht nur seriösen Kunden eine Plattform. Ähnlich wie bei Google nutzen Cyberkriminelle dies auch im Falle von Bing für böswillige Zwecke aus.
Ein Netzwerkanalysetool als Köder
Konkret nannten die Forscher von Malwarebytes Anzeigen für das Netzwerkanalysetool Advanced IP Scanner, die auf eine gefälschte Webseite verwiesen. Ein Klick auf die Werbeanzeige im Bing Chat habe die Sicherheitsforscher zunächst zur Domain mynetfoldersip[.]cfd geführt, die verschiedene Parameter des Besuchersystems überprüft habe, um reguläre Besucher von Bots und Nutzern speziell gesicherter Umgebungen zu unterscheiden.
Im Anschluss erfolgte den Forschern zufolge eine Weiterleitung auf advenced-ip-scanner[.]com, wobei sich die Angreifer offenbar Typosquatting zunutze machten, um unauffällig zu bleiben. So unterscheidet sich die Domain von jener der Originalsoftware lediglich durch einen einzigen ausgetauschten Buchstaben.
Auf der Zielseite wurde eine MSI-Datei zum Download angeboten, in der ein stark verschleiertes Skript enthalten war. Dessen Aufgabe war es, die tatsächliche Schadsoftware von einem externen Server abzurufen. Ein Zugriff auf die Nutzlast war den Sicherheitsforschern allerdings nicht möglich, so dass unklar bleibt, welche Malware genau zum Einsatz kam.
Üblicherweise nutzen kriminelle Akteure für solche Fälle Schadsoftware, die sensible Nutzerdaten abgreift oder einen Fernzugriff auf das infizierte System oder damit verbundene Netzwerke ermöglicht.
Werbeanzeigen kamen über ein gehacktes Konto
Quelle der betrügerischen Werbeanzeigen war Malwarebytes zufolge ein gehacktes Anzeigenkonto eines australischen Unternehmens. Damit erstellten die Angreifer zwei Anzeigenkampagnen, die im Falle des genannten Advanced IP Scanners an Systemadministratoren ausgespielt wurden. Darüber hinaus gab es betrügerische Anzeigen, die sich an Rechtsanwälte richteten, die ein Law-Management-Tool namens Mycase herunterladen wollten.